Đối với hàng trăm triệu game thủ trên toàn thế giới, tài khoản Steam và Roblox không chỉ là thư viện trò chơi đơn thuần. Đó là nơi lưu giữ những bộ sưu tập vật phẩm ảo giá trị, danh sách bạn bè thân thiết và số dư tài chính không hề nhỏ. Khi thị trường trao đổi skin súng, dao hiếm và phụ kiện ảo bùng nổ, những kẻ lừa đảo trực tuyến đã chuyển hướng từ việc đoán mật khẩu thô sơ sang các chiêu trò tấn công phi kỹ thuật và đánh cắp phiên đăng nhập cực kỳ tinh vi.

Hiện nay, ngay cả những người chơi đã bật tính năng xác thực hai yếu tố (2FA) vẫn có thể bị chiếm đoạt tài khoản. Kẻ xấu tạo ra các kịch bản đánh lừa người dùng tự tay trao quyền truy cập hoặc phê duyệt phiên đăng nhập mà không hề hay biết. Hiểu rõ các thủ đoạn tấn công này và chủ động thiết lập các lớp bảo vệ là điều cốt lõi để giữ an toàn cho kho đồ ảo của bạn.

Các hình thức lừa đảo tinh vi nhắm vào người chơi game

Các cuộc tấn công hiện đại không còn sử dụng những email giả mạo sơ sài mà ngụy trang khéo léo trong các hoạt động giao lưu cộng đồng quen thuộc.

1. Giải đấu thể thao điện tử giả mạo và cửa sổ đăng nhập lừa đảo

Một chiêu trò rất phổ biến trên Discord và Steam là tin nhắn từ bạn bè trong danh sách (hoặc tài khoản bị chiếm đoạt) mời tham gia một đội tuyển thi đấu giải. Khi người chơi bấm vào đường dẫn để đăng ký danh sách thi đấu, một cửa sổ bật lên yêu cầu "Đăng nhập bằng tài khoản Steam" hoặc Roblox.

Kẻ tấn công sử dụng kỹ thuật Browser-in-the-Browser (BitB):

  • Cửa sổ này không phải là cửa sổ trình duyệt riêng biệt thật sự mà là một khối giao diện HTML/CSS giả mạo được vẽ ngay trên trang web độc hại.
  • Thanh địa chỉ hiển thị tên miền giả nhưng trông y như thật cùng biểu tượng ổ khóa xanh.
  • Khi bạn nhập tên đăng nhập, mật khẩu và mã xác thực Steam Guard vào ô trống, một đoạn mã tự động ở máy chủ kẻ xấu sẽ nhận dữ liệu theo thời gian thực và đăng nhập ngay lập tức vào hệ thống thật trước khi mã OTP hết hạn.

2. Chiếm quyền đăng nhập qua mã QR (QRLJacking)

Cả Steam và Discord đều hỗ trợ tính năng quét mã QR trên màn hình máy tính bằng ứng dụng di động để đăng nhập nhanh chóng. Kẻ tấn công lợi dụng sự tiện lợi này để đánh lừa người chơi:

  1. Máy chủ của kẻ xấu khởi tạo một phiên đăng nhập hợp lệ với hệ thống của nền tảng game.
  2. Nền tảng tạo ra một mã QR xác thực dành cho máy của kẻ tấn công.
  3. Trang web lừa đảo hiển thị lại mã QR đó cho nạn nhân dưới vỏ bọc "Quét mã để nhận skin miễn phí hoặc phần quà sự kiện".
  4. Khi người chơi dùng ứng dụng Steam trên điện thoại để quét và xác nhận, họ đã vô tình cấp quyền đăng nhập cho máy tính của kẻ tấn công.

Trên nền tảng Roblox, trạng thái đăng nhập được duy trì thông qua một cookie đặc biệt có tên .ROBLOSECURITY. Nếu kẻ xấu lấy được chuỗi cookie này, chúng có thể đăng nhập thẳng vào tài khoản của bạn trên trình duyệt khác mà không cần biết mật khẩu hay mã xác nhận 2FA. Kẻ gian thường dụ dỗ game thủ cài đặt các tiện ích mở rộng trình duyệt mạo danh hỗ trợ giao dịch, hoặc lừa người dùng xuất tệp nhật ký mạng (HAR file) chứa toàn bộ cookie phiên đăng nhập.

Cách kẻ xấu tẩu tán tài sản sau khi chiếm đoạt tài khoản

Ngay khi chiếm được quyền truy cập, các công cụ tự động của kẻ gian sẽ tiến hành tẩu tán kho đồ trong tích tắc:

  • Tạo mã khóa API Steam Web: Kẻ xấu tự tạo một mã API key trên tài khoản của bạn để theo dõi và can thiệp các lệnh trao đổi đồ.
  • Đánh tráo lệnh giao dịch: Khi bạn gửi vật phẩm cho bạn bè thật, công cụ tự động sẽ hủy giao dịch đó và tạo một giao dịch mới gửi đồ sang tài khoản của kẻ gian với hình đại diện giống hệt, khiến bạn vô tình xác nhận chuyển nhầm đồ trên điện thoại.
  • Bán tháo vật phẩm lên chợ: Các vật phẩm quý hiếm bị bán tháo với giá rẻ trên chợ cộng đồng để quy đổi thành số dư tài khoản hoặc thẻ quà tặng.

Các bước bảo vệ toàn diện cho tài khoản game

Để giữ an toàn cho tài sản số, người chơi cần phối hợp các biện pháp kiểm tra tài khoản định kỳ cùng việc bảo vệ luồng kết nối mạng.

1. Thường xuyên kiểm tra và thu hồi các phiên đăng nhập lạ

Bạn nên định kỳ kiểm tra trạng thái đăng nhập của tài khoản:

  • Trên Steam, vào phần Cài đặt tài khoản (Settings), chọn mục Bảo mật (Security) và bấm Hủy cấp phép tất cả thiết bị khác (Deauthorize all other devices) để đăng xuất các thiết bị lạ.
  • Thường xuyên truy cập trang quản lý khóa API (steamcommunity.com/dev/apikey). Nếu thấy có khóa API lạ mà bạn không tạo, hãy bấm hủy bỏ ngay lập tức.
  • Trên Roblox, vào phần Cài đặt (Settings), chọn mục Bảo mật và bấm Đăng xuất khỏi tất cả các phiên khác để vô hiệu hóa cookie cũ.

2. Bảo vệ thông tin đăng nhập trên các mạng không đáng tin cậy

Khi chơi game hoặc giao dịch đồ tại quán net, trường học hoặc mạng Wi-Fi công cộng, đường truyền không mã hóa có thể khiến dữ liệu phiên của bạn bị nghe lén hoặc gặp nguy cơ chuyển hướng DNS độc hại:

  • Mã hóa luồng dữ liệu cùng VPNRice: Khi kích hoạt VPNRice, mọi gói tin game và trình duyệt đều được bọc trong đường hầm WireGuard tốc độ cao, ngăn chặn việc bắt gói tin trên mạng nội bộ.
  • Độ trễ thấp và tối ưu ping với RiceGuard: Khác với các giao thức cũ gây giật lag khi chơi game trực tuyến, WireGuard kết hợp công nghệ RiceGuard giúp giảm thiểu hao hụt băng thông, giữ mức ping ổn định cho các trận đấu xếp hạng căng thẳng.

Để kiểm tra thông số kết nối và tình trạng định tuyến mạng của mình, bạn có thể sử dụng Công cụ kiểm tra IP miễn phí. Bạn cũng có thể xem thêm các bài viết về lưu ý an toàn khi dùng tiện ích VPN trên trình duyệt và hướng dẫn giảm ping và chống mất gói khi chơi game.

Tải VPNRice.